k8s-harbor拉取鏡像權限問題-imagePullSecrets

k8s的imagePullSecrets如何生成及使用

一、概述

公司的docker倉庫(harbor)，是私有的，需要用戶認證之后，才能拉取鏡像。

 

二、生成secret

登錄到k8s master節點，先登錄docker

root@k8s-master:~# docker login 192.168.10.122 -u admin -p Harbor12345
WARNING! Using --password via the CLI is insecure. Use --password-stdin.
Error response from daemon: Get https://192.168.10.122/v2/: dial tcp 192.168.10.122:443: connect: connection refused

注意：出現這個報錯，是由於harbor為了安全性考慮，默認是需要https證書支持的

但是我們可以通過一個簡單的辦法解決

修改 /etc/docker/daemon.json 文件

vim /etc/docker/daemon.json

內容如下：

{"insecure-registries": ["192.168.10.122"]}

重新加載docker配置

systemctl daemon-reload
systemctl restart docker

再次登錄

root@k8s-master:~# docker login 192.168.10.122 -u admin -p Harbor12345
WARNING! Using --password via the CLI is insecure. Use --password-stdin.
WARNING! Your password will be stored unencrypted in /root/.docker/config.json.
Configure a credential helper to remove this warning. See
https://docs.docker.com/engine/reference/commandline/login/#credentials-store

Login Succeeded

提示登錄成功。

登錄過程創建或更新一個包含授權令牌的config.json文件。
查看config.json文件：

cat ~/.docker/config.json

輸出包含類似以下內容的部分：

{
    "auths": {
        "192.168.10.122": {
            "auth": "YWRtaW46SGFyYm9yMTIzNDU="
        }
    }

}

注意：如果您使用Docker憑據存儲，您將看不到該auth條目，而是看到一個以存儲名稱為值的credsstore條目。

基於現有Docker憑據創建secret

kubectl create secret generic harborsecret \
    --from-file=.dockerconfigjson=/root/.docker/config.json \
    --type=kubernetes.io/dockerconfigjson

注意：主要修改紅色部分。

harborsecret 表示key名

/root/.docker/config.json 表示docker認證文件，注意要寫絕對路徑。

查看內容

kubectl get secrets harborsecret --output="jsonpath={.data.\.dockerconfigjson}" | base64 -d

輸出：

{
    "auths": {
        "192.168.10.122": {
            "auth": "YWRtaW46SGFyYm9yMTIzNDU="
        }
    }
}

在具體的Pod中引用就行：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: iot-nignx
  namespace: iot
spec:
  selector:
    matchLabels:
      app: iot-nignx
  replicas: 1
  template:
    metadata:
      labels:
        app: iot-nignx
    spec:
      containers:
      - name: iot-nignx
        imagePullPolicy: Always
        image: 192.168.2.11:30013/iot/nginx_iot:202109071808
        ports:
        - containerPort: 80
          name: iot-nignx
        - containerPort: 4949
          name: iot-nginx-scada
      imagePullSecrets:
      - name: harborsecret